I ricercatori di sicurezza Shmulik Cohen e Matan Giladi, della società Apiiro, hanno individuato un problema di esposizione delle credenziali associato ai file locali di configurazione di Claude Code, l’assistente di programmazione sviluppato da Anthropic. L’indagine, resa pubblica nel novembre 2026, ha identificato 1.122 file di impostazioni accessibili pubblicamente su GitHub contenenti informazioni sensibili, tra cui password di database, chiavi API per servizi cloud e token utilizzati per accedere a sistemi software. Il problema è collegato al meccanismo con il quale Claude Code conserva le autorizzazioni concesse dagli sviluppatori per eseguire determinati comandi senza richiedere una nuova conferma a ogni utilizzo. In alcune condizioni, le regole salvate possono comprendere l’intero comando autorizzato, incluse eventuali credenziali inserite direttamente nella stringa di esecuzione, creando una possibilità di divulgazione quando i file di configurazione vengono accidentalmente aggiunti a repository pubblici.
Claude Code può proporre ed eseguire comandi sul computer dello sviluppatore, comprese operazioni di diagnostica, accesso ai database e chiamate a servizi esterni. Determinate azioni richiedono normalmente una conferma, ma l’interfaccia offre anche l’opzione Yes, and don’t ask again, che permette di autorizzare ulteriori esecuzioni senza ripetere la richiesta. La configurazione può essere conservata nel file locale .claude/settings.local.json. Quando un comando contiene password o token direttamente nei suoi argomenti, anche questi valori possono essere registrati nelle regole di autorizzazione. Il file è destinato a rimanere sul computer dello sviluppatore e Claude Code prevede protezioni per evitarne la pubblicazione, ma tali misure non coprono tutte le possibili configurazioni di Git. Se il file è già tracciato dal sistema di versionamento, oppure viene trasferito in un progetto con impostazioni differenti, può finire nel repository remoto insieme al codice sorgente.
Apiiro ha esaminato 104.185 copie pubblicamente accessibili dei file di configurazione locali di Claude Code, distribuite in 103.617 repository GitHub. Circa l’1,1% dei file analizzati conteneva segreti classificati come effettivi, per un totale di 1.379 credenziali distinte individuate in questa prima categoria. Estendendo l’analisi alle versioni storiche dei file e ad altri registri prodotti dagli strumenti di programmazione AI, i ricercatori hanno identificato complessivamente 2.539 credenziali distinte in 1.994 repository pubblici. Le informazioni riconducibili alle esposizioni coinvolgevano 63 organizzazioni, dalle piccole società di sviluppo fino a fornitori tecnologici di maggiori dimensioni. Tra i casi documentati figuravano password di database di produzione, una chiave API per la gestione cloud di un fornitore di database e credenziali collegate a un’applicazione utilizzata per gestire cartelle cliniche.
La presenza delle credenziali nei repository pubblici non dimostra automaticamente che fossero ancora valide o che soggetti non autorizzati le abbiano utilizzate. Apiiro non ha effettuato tentativi di accesso ai sistemi interessati né verifiche operative delle chiavi individuate, anche se una delle organizzazioni coinvolte ha confermato che una credenziale esposta risultava attiva. L’indagine mostra comunque un percorso concreto attraverso il quale informazioni sensibili possono essere conservate in un file apparentemente secondario, collegato alle impostazioni di un assistente AI, e successivamente pubblicate senza intenzione dello sviluppatore. La rimozione del file dal ramo corrente di un repository non garantisce inoltre l’eliminazione delle informazioni, che possono rimanere presenti nella cronologia Git o in copie già distribuite.
Apiiro raccomanda alle organizzazioni di controllare la presenza dei file .claude/settings.local.json e .claude/settings.json nei repository pubblici, esaminare anche la cronologia delle revisioni e revocare o sostituire le credenziali potenzialmente compromesse. Gli sviluppatori dovrebbero inoltre evitare di includere password e token direttamente nei comandi eseguiti dagli agenti. Una ricerca VentureBeat condotta nell’ottobre 2026 su 101 responsabili aziendali dell’intelligenza artificiale e della sicurezza aveva rilevato che il 24% utilizzava prevalentemente agenti con chiavi API condivise o credenziali associate a persone e account di servizio, mentre il 20% dichiarava di non disporre di meccanismi automatici per identificare le azioni non autorizzate degli agenti. L’esposizione individuata da Apiiro riguarda quindi sia la configurazione locale degli strumenti sia la gestione delle credenziali e dei file prodotti durante i processi di sviluppo assistiti dall’intelligenza artificiale.
Questo articolo è stato redatto con il supporto di strumenti di intelligenza artificiale (AI)